A maioria das PMEs guarda chaves de API, tokens e palavras-passe em repositórios de código sem se aperceber do risco. O GitHub acaba de reforçar a proteção de segredos no código com novas deteções e uma parceria com a Resend. E tudo isto está disponível sem custos adicionais para repositórios públicos.
O que é e como funciona
O secret scanning do GitHub é uma funcionalidade que analisa automaticamente os repositórios à procura de padrões que correspondam a segredos — chaves de API, tokens de acesso, credenciais de bases de dados. Quando um programador faz push de código que contém, por exemplo, uma chave da Resend, o sistema identifica o formato e gera um alerta. A partir de agora, com a Resend como parceira oficial, a deteção é ainda mais precisa: o GitHub consegue validar se a chave está ativa e notificar o fornecedor para que este a revogue de imediato.
Além disso, foram adicionados novos tipos de segredos da APIclub, alargando o leque de serviços cobertos. Na prática, isto significa que menos credenciais ficam expostas sem que ninguém dê conta. Para uma PME que desenvolve software ou gere o seu próprio website, esta camada extra de proteção de segredos no código reduz o risco de uma fuga de dados com consequências financeiras e reputacionais.
O que diferencia das alternativas
Até agora, a maioria das empresas confiava em verificações manuais ou em ficheiros .gitignore para evitar publicar segredos. O problema é que basta uma distração — um commit rápido, um repositório tornado público por engano — e a informação fica acessível a qualquer pessoa. Ferramentas externas existem, mas exigem integração e manutenção. O secret scanning do GitHub está incorporado na plataforma que muitas PMEs já usam diariamente. Não é preciso instalar nada.
Outro diferencial é a monitorização pública: se um segredo da sua empresa aparecer num repositório público alheio, o GitHub também o deteta e alerta. Com a nova parceria, a resposta é mais rápida, porque o próprio fornecedor do serviço (como a Resend) é envolvido automaticamente. Isto transforma a deteção de segredos num processo ativo, e não apenas reativo.
O que isto significa para PMEs portuguesas
Muitas PMEs em Portugal usam o GitHub para alojar o código dos seus sites, lojas online ou sistemas internos. É comum que esses projetos incluam chaves de serviços de email, gateways de pagamento ou plataformas de marketing. Uma única chave exposta pode permitir acessos indevidos, envio de campanhas fraudulentas ou desvio de dados de clientes — com implicações graves ao abrigo do RGPD.
Com estas melhorias, qualquer empresa que tenha repositórios públicos passa a contar com uma verificação automática e gratuita. Para repositórios privados, a funcionalidade está disponível no GitHub Advanced Security, um pacote pago que inclui outras análises. Se a sua empresa ainda não tem uma política de segurança para o código, uma consultoria estratégica pode ajudar a definir processos e a escolher as ferramentas certas. O importante é perceber que a proteção de segredos no código não é um luxo de grandes empresas — é uma necessidade básica de qualquer negócio digital.
O erro que a maioria comete
Assumir que um repositório privado é seguro por natureza. Muitas PMEs acreditam que, por o código não estar público, as credenciais lá armazenadas estão protegidas. Mas um repositório privado pode tornar-se público por acidente, um ex-colaborador pode manter acesso, ou uma integração mal configurada pode expor o código. Além disso, quando um segredo é detetado, a reação costuma ser lenta: revoga-se a chave, mas esquece-se de auditar o que foi acedido entretanto. O secret scanning existe precisamente para encurtar esse tempo de resposta.
Riscos e limitações
O secret scanning não é infalível. Só deteta padrões conhecidos — se a sua empresa usar formatos proprietários ou chaves ofuscadas, o sistema pode não as reconhecer. Além disso, a funcionalidade atua depois do commit: o segredo já foi exposto, ainda que por pouco tempo. Para repositórios privados, o custo do GitHub Advanced Security pode ser um obstáculo para microempresas com orçamentos muito limitados. E, claro, a ferramenta não substitui boas práticas como a rotação periódica de chaves, a utilização de cofres de segredos ou a formação das equipas. É uma rede de segurança, não uma solução completa.
Veredito Descomplicar®
Para qualquer PME que use GitHub e lide com dados sensíveis, ativar o secret scanning em repositórios públicos é uma decisão óbvia e sem custos. Já nos repositórios privados, vale a pena avaliar se o investimento no Advanced Security se justifica face ao risco real de exposição. Como explicamos no nosso guia de cibersegurança para negócios digitais, a segurança é feita de camadas — e esta é mais uma que pode evitar dissabores. A parceria com a Resend e a expansão para novos tipos de segredos mostram que o GitHub está a levar a sério a proteção de segredos no código. Cabe às PMEs aproveitar.
Fonte: GitHub Changelog